+Oddíl 2
---+Článek 3 Řízení rizika v oblasti IKT

Oddíl 2

Oddíl 2

1. Přehled

,
Článek 3 Řízení rizika v oblasti IKT

Článek 3

Řízení rizika v oblasti IKT

Finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení rizika v oblasti IKT, které obsahují všechny následující prvky:

a) 

údaj o schválení přípustné odchylky rizika v oblasti IKT stanovené v souladu s čl. 6 odst. 8 písm. b) nařízení (EU) 2022/2554;

b) 

postup a metodika pro provádění posouzení rizika v oblasti IKT, přičemž se určí:

i) 

zranitelnosti a hrozby, které ovlivňují nebo mohou ovlivnit podporované obchodní funkce, systémy IKT a aktiva v oblasti IKT podporující tyto funkce;

ii) 

kvantitativní nebo kvalitativní ukazatele pro měření dopadu a pravděpodobnosti zranitelností a hrozeb uvedených v bodě i);

c) 

postup pro určení, zavedení a zdokumentování opatření k řešení rizik v oblasti IKT pro zjištěná a posouzená rizika v oblasti IKT, včetně stanovení opatření k řešení rizik v oblasti IKT nezbytných k tomu, aby se riziko v oblasti IKT dostalo do rozmezí přípustné odchylky rizika uvedené v písmenu a);

d) 

pro zbytková rizika v oblasti IKT, která po provedení opatření k řešení rizik v oblasti IKT uvedených v písmenu c) stále existují:

i) 

ustanovení o identifikaci těchto zbytkových rizik v oblasti IKT;

ii) 

přidělení úloh a povinností týkajících se:

1) 

přijetí zbytkových rizik v oblasti IKT, která přesahují přípustnou odchylku rizika finančního subjektu uvedenou v písmenu a),

2) 

procesu přezkumu uvedeného v tomto písm. d) bodě iv);

iii) 

vypracování soupisu přijatých zbytkových rizik v oblasti IKT, včetně odůvodnění jejich přijetí;

iv) 

ustanovení o přezkumu přijatých zbytkových rizik v oblasti IKT alespoň jednou ročně, včetně:

1) 

identifikace jakýchkoli změn zbytkových rizik v oblasti IKT,

2) 

posouzení dostupných zmírňujících opatření,

3) 

posouzení, zda důvody pro přijetí zbytkových rizik v oblasti IKT jsou ke dni přezkumu stále platné a použitelné;

e) 

ustanovení o sledování:

i) 

veškerých změn rizik v oblasti IKT a prostředí kybernetických hrozeb;

ii) 

vnitřních a vnějších zranitelností a hrozeb;

iii) 

rizika finančního subjektu v oblasti IKT, které umožňuje rychlou detekci změn, jež by mohly ovlivnit jeho rizikový profil v oblasti IKT;

f) 

ustanovení ohledně procesu, který zajistí, aby byly zohledněny veškeré změny obchodní strategie a strategie digitální provozní odolnosti finančního subjektu.

Pro účely prvního pododstavce písm. c) se postupem podle uvedeného písmene zajistí:

a) 

sledování účinnosti zavedených opatření k řešení rizik v oblasti IKT;

b) 

posouzení, zda bylo dosaženo stanovených úrovní přípustné odchylky rizika finančního subjektu;

c) 

posouzení, zda finanční subjekt v případě potřeby přijal opatření k nápravě nebo zlepšení těchto opatření.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.